ISO27001 vs. IT-Grundschutz
Die ISO/IEC 27001 definiert ein internationales, detailliertes ISMS; BSI IT-Grundschutz ist flexibel, modular, in Deutschland insbesondere bei Behörden bekannt. Beide bieten hohe Sicherheit, unterscheiden sich aber in Flexibilität und Zielgruppen. Diese Seite bietet einen detaillierten Vergleich.
ISO 27001 und BSI IT-Grundschutz im Vergleich
Diese Tabelle soll dir einen Überblick über die wichtigsten Unterschiede und Gemeinsamkeiten zwischen ISO/IEC 27001 und dem BSI IT-Grundschutz geben. Beide Standards haben ihre Stärken und sind je nach Organisation und Anforderungen unterschiedlich geeignet.
| Merkmal | ISO/IEC 27001 | BSI IT-Grundschutz |
|---|---|---|
| Verfügbarkeit | International verfügbar und anerkannt. | Primär in Deutschland anerkannt |
| Quellen | Der Standard ist beim Beuth Verlag kostenpflichtig zu erwerben | Die BSI Standards und alle Hilfsmittel sind kostenlos auf der Webseite des BSI zum download erhältlich |
| Anwendbarkeit | Für alle Organisationen weltweit | Schwerpunkt auf deutsche Organisationen und Behörden |
| Bekanntheit/Anerkennung | Weit verbreitet und international anerkannt | National in Deutschland sehr bekannt |
| Aufwand für die Umsetzung | Hoch, da spezifische Kontrollen definiert und dokumentiert werden müssen | Variiert, kann durch Bausteine und Vorgehensweise flexibel angepasst werden (Basis-, Standard- und Kernabsicherung) |
| Praktische Anwendbarkeit | Sehr spezifisch und detailliert | Flexibel und modular durch Bausteine und Vorgehnsweise |
| Nötiges Wissen | Erfordert tiefgehendes Wissen über Informationssicherheits-Managementsysteme (ISMS) und Risikoanalysen | Erfordert spezifisches Wissen über IT-Grundschutz-Kataloge, ansonsten durch eine geführte Vorgehensweise bei insgesamt etwas höherem Aufwand vergleichsweise einfach Anwendbar |
| Grad der erreichbaren Informationssicherheit | Sehr hoch, da umfassend und detailliert | Sehr hoch, durch detaillierte Bausteine und Umsetzungsempfehlungen |
| Erfüllung rechtlicher Rahmenbedingungen | International anerkannte Norm, erfüllt globale Compliance-Anforderungen | Erfüllt vor allem deutsche gesetzliche Anforderungen und Standards und grundsätzlich auch die Anforderungen der ISO/IEC 27001 |
| Zielgruppen | Alle Branchen und Unternehmensgrößen | Primär deutsche Unternehmen und Behörden |
| Unternehmensgrößen | Geeignet für alle Größen, jedoch oft bei größeren Organisationen eingesetzt | Geeignet für alle Größen, aber besonders für mittlere und große Organisationen |
| Flexibilität der Implementierung | Weniger flexibel, strikt nach Norm, etwas flexibler im Zuschnitt des Scope | Sehr flexibel, durch Bausteine anpassbar und währbare Iterative Vorgehensweise |
| Struktur | Managementsystem-orientiert | Baustein-orientiert, modular |
| Zertifizierung | International durch akkreditierte Zertifizierungsstellen möglich | National durch akkreditierte Stellen und BSI möglich. Leichter Einstieg durch ein Basis-Testat. |
| Fokus | Managementprozesse und kontinuierliche Verbesserung | Konkrete Anorderungen und Maßnahmen |
| Kosten | Tendenziell höher, da externe Beratung und Zertifizierung häufig nötig | Variiert je nach Vorgehensmodell, kann durch interne Ressourcen umgesetzt werden, bei Zertifizierung vergleichbare Beratungs- und Zertifizierungskosten. |
Zusammenfassend unterscheiden sich ISO/IEC 27001 und BSI IT-Grundschutz im Wesentlichen in der praktischen Vorgehensweise. Während man bei der ISO etwas flexibler in der Umsetzung ist, sich aber auch alles über Risikoanalysen selbst erarbeiten muss, bietet der IT-Grundschutz einen eher geführten Ansatz, indem man sein Verbund aus vorgefertigten Bausteinen zusammen modelliert und dann eine Liste mit klaren, teilweise technischen Anforderungen erhält, die abgearbeitet werden müssen. Einfach ausgedrückt:
Bei ISO muss ich mehr denken, bei IT-Grundschutz muss ich mehr machen.
Eine Zertifizierung nach ISO 27001 ist international allgemein anerkannt. Eine Zertifizierung nach BSI IT-Grundschutz heißt wörtlich "ISO 27001-Zertifizierung auf Basis von IT-Grundschutz" und entspricht damit einer ISO 27001-Zertifizierung und wird als gleichwertig anerkannt. Im Behördenbereich in Deutschland wird aufgrund gesetzlicher Vorgaben und aufgrund der meist höheren normativen Anforderungen im IT-Grundschutz das Vorgehen nach BSI IT-Grundschutz und eine entsprechende Zertifizierung gefordert.
Philosophische Unterschiede
Die ISO/IEC27001 ist ein Vorgehensmodell, das sehr stark auf die Zertifizierung ausgerichtet ist, es ist eine klare Norm, bei der es heißt "Ich mach es oder ich lass es", es gibt praktisch keine Zwischenschritte oder Teilziele und keine Priorisierung einzelner Themen. Wer schnell eine Zertifizierung braucht, ist hier gut aufgehoben.
Der BSI IT-Grundschutz ist da flexibler und modularer. Der Anwender wird durch den Grundschutz geführt, es werden Zwischenschritte und verschiedene Vorgehensmodelle angeboten (Basisabsicherung, Standardabsicherung, Kernabsicherung), die Bausteine und Anforderungen sind priorisiert, so dass der Anwender schrittweise vorgehen und sogar Teilziele auditieren lassen kann (Basisabsicherung mit Basistestat).
Vergleich der Anforderungen
Für den Vergleich und die Zuordnung der Anforderungen der ISO/IEC 27001 und des BSI IT-Grundschutzes hat das BSI ein Dokument erstellt, das die Erfüllung der Anforderungen der ISO/IEC 27001 im Vorgehen nach BSI IT-Grundschutz nachweist:
Zuordnungstabelle ISO zum IT-Grundschutz
Vergleich der Dokumentationsaufwände
| Dokumentation ISO | Anforderung ISO |
Dokumentation Grundschutz | Anforderung GS |
|---|---|---|---|
| Anwendungsbereich des ISMS | A 4.3 | Leitlinie Informationssicherheit | ISMS.1.A3 |
| Leitlinie Informationssicherheit | A 5.2
A 6.2 |
Leitlinie Informationssicherheit | ISMS.1.A3 |
| Risikobewertungs- und Risikobehandlungsmethodik | A 6.1.2 | Richtlinie zur Risikoanalyse | BSI 200-1 Kap.8.1 Auswahl einer Methode zur Risikoanalyse
Referenzdokumente Kap.2.1 Kap.2.6 und A.6 |
| Anwendbarkeitserklärung | A 6.1.3d | Sicherheitskonzept /Strukturanalyse
(Organisation des ISMS) |
ISMS.1.A7 |
| Risikobehandlungsplan | A 6.1.3e
A 6.2 |
Richtlinie zur Risikoanalyse | |
| Definition der Sicherheitsrollen und Verantwortlichkeiten | A 7.1.2
A 13.2.4 |
||
| Aufzeichnungen über Schulungen, Fähigkeiten, Erfahrung und Qualifikationen | A 7.2 | Schulungskonzept
Nachweis der Teilnahme an Fortbildungen |
ORP.2.A15 |
| Sicherheitsrollen und Verantwortlichkeiten | A 7.2.1 | ||
| Verzeichnis der Assets | A 8.1.1 | Strukturanalyse, Modellierung | |
| Regelung zur Nutzung von Assets | A 8.1.3 | Strukturanalyse, Modellierung | |
| Risikobewertungsbericht | A 8.2
A 8.3 |
Risikoanalyse
Risikobehandlungsplan |
|
| Überwachungs- und Messergebnisse | A 9.1 | Interne Revisionen und Audits | DER.3.1.A3, DER.3.1.A5, DER.3.1.A22 |
| Richtlinie für Zugriffskontrolle | A 9.1.1 | ||
| internes Audit-Programm und Ergebnisaufzeichnungen | A 9.2 | Richtlinie zur Lenkung von Korrektur- und Vorbeugungsmaßnahmen | ISMS.1.A11, DER.3.1.A7, DER.3.1.A10, DER.3.1.A22 |
| Ergebnisse aus Managementbewertungen | A 9.3 | Management Berichte | |
| Ergebnisse von Korrekturmaßnahmen | A 10.1 | ||
| Richtlinie für die Verwendung von kryptographischen Algorithmen | A 10.1.1 | Richtlinie Kryptographie | |
| Betriebsprozesse für das IT-Management | A 12.1.1 | ||
| Aktivitätsprotokolle und deren regelmäßig Auswertung | A 12.4.1
A 12.4.3 |
Richtlinie Protokollierung | |
| Prinzipien des sicheren Systembetriebs | A 14.2.5 | ||
| Sicherheitsrichtlinie für Lieferanten | A 15.1.1 | ||
| Sicherheitsvorfall Management | A 16.1.5 | Richtlinie Sicherheitsvorfallmanagement | |
| Verfahren für betriebliche Kontinuität BCM | A 17.1.2 | Richtlinie Notfallmanagement (BCM) | |
| Gesetzliche, behördliche und vertragliche Anforderungen | A 18.1.1 |
